歡迎來到內部審計的世界！

你好！歡迎來到 P3 風險管理 (Risk Management) 課程中最實用的章節之一。如果你曾好奇公司如何確保員工真正遵守規定，那麼你來對地方了。在本章中，我們將探討各種內部審計形式 (Forms of Internal Audit)。

內部審計就像是企業的「健康檢查」。就像醫生會檢查你身體的不同部位（心臟、肺部、反射神經）一樣，內部審計師會檢查企業的不同部門，以確保一切運作正常。如果起初覺得這裡充滿了專業術語，別擔心——我們會把它們拆解開來，逐一說明！

1. 到底什麼是內部審計？

在我們探討不同的形式之前，先簡單定義一下。內部審計 (Internal Audit) 是公司內的一個獨立部門，負責檢查公司的內部控制 (Internal Controls) 是否有效運作。其目標是向董事會提供保證 (Assurance)，確認風險已得到適當管理。

類比： 想像一支專業運動隊伍。球員（管理層）試圖贏得比賽（賺取利潤），但裁判（內部審計）負責確保每個人都遵守規則，以免比賽陷入混亂。

快速回顧：三道防線 (The Three Lines of Defense)
內部審計通常被稱為第三道防線：
1. 第一道防線： 管理層（擁有並管理營運風險）。
2. 第二道防線： 風險管理與合規職能部門（監督並促進風險控制）。
3. 第三道防線： 內部審計（向董事會及審計委員會提供獨立保證）。

2. 內部審計的不同形式

內部審計師不僅僅是查核會計帳目。他們根據機構面臨的風險身兼多職。以下是你在 CIMA P3 考試中必須了解的關鍵內部審計形式：

A. 合規審計 (Compliance Audit)

這完全是關於遵守規則。這些規則可能是外部的法律與法規義務（例如資料保護法、稅法或職業安全健康法規），也可能是內部政策（例如授權限額與差旅費政策）。
避開常見錯誤： 許多學生以為合規只與法定法律有關。在 P3 中，請記住合規審計也會審查是否遵守內部政策、程序和道德守則！

B. 舞弊調查 (Fraud Investigation)

當懷疑或發現舞弊時，內部審計師經常會被召集進行調查。舞弊調查專注於查明舞弊是如何發生的、評估總財務損失和聲譽損害、收集並保存證據、找出內部控制的失效點，並提出改進控制的建議以防止再次發生。
關鍵區別： 雖然管理層負有透過強健的內部控制來預防和發現舞弊的主要責任，但內部審計負責調查指控的違規行為、評估現有系統對舞弊的脆弱性，並就必要的糾正措施向審計委員會提供建議。

C. 物有所值 (VFM) / 管理審計 (Value-for-Money / Management Audit)

亦稱為績效審計或營運審計，這種審計形式問道：「管理層是否善用機構的資源？」它評估目標是否以具經濟性、有效率且具效果的方式達成。

記憶輔助：物有所值的 3E (The 3 Es of Value for Money)

當你看到「物有所值」或「管理審計」時，記住這三個核心標準：
1. 經濟性 (Economy)： 在考慮適當品質的前提下，盡量降低獲取或使用的資源成本（少花錢）。
2. 效率 (Efficiency)： 將產品或服務的產出與生產它們所使用的資源之間的關係最大化（把錢花得好 / 把事情做對）。
3. 效果 (Effectiveness)： 達到已宣佈的目標和指標的程度（明智花錢 / 做對的事）。

D. 社會與環境審計 (Social and Environmental Audit)

現代企業面臨重大的非財務、可持續發展和聲譽風險。社會與環境審計評估公司對社會、當地社區、員工和自然環境的影響。例子包括評估碳減排目標的達標情況、監控水和廢物管理協議、審計工作場所的多元與包容性指標，以及核實供應鏈夥伴是否遵守合乎道德的勞工實踐。

E. 資訊科技 (IT) 與系統審計 (Information Technology and Systems Audit)

在數碼商業環境中，IT 審計檢視電腦系統、網絡和資料庫的安全性、完整性與可用性。審計師評估存取控制、資料備份程序、災難復原計劃和網絡安全防禦，以確保業務連續性並保護敏感的公司數據。

F. 財務與營運審計 (Financial and Operational Audits)

內部審計師審查財務與營運資訊的可靠性與完整性，以及日常業務流程。他們測試關鍵控制——例如銀行對帳、職責分離、存貨盤點和採購授權——是否有效運作以保護公司資產。

重點總結： 內部審計功能多元。它涵蓋了合規、舞弊調查、物有所值審查、社會與環境責任，以及科技控制。

3. 由誰執行審計？（資源配置方式）

公司有三種主要方式來建立其內部審計功能。選擇正確的方式是審計委員會 (Audit Committee) 的關鍵治理決策。

1. 內部建立 (In-House Department)

公司聘請自己的全職員工擔任內部審計師。
優點： 他們深入了解公司的文化、營運和系統，並能提供持續且隨時待命的服務。
缺點： 培訓和維持專業技能的成本可能很高，且審計師若與受審核的營運人員過於熟絡，可能會失去客觀性 (Objectivity)。

2. 外判 (Outsourcing)

公司與外部專業機構（如會計師事務所或風險諮詢公司）簽訂合約，以提供整個內部審計服務。
優點： 能獲得專業技能、頂尖的審計軟件、靈活的人手調配，以及獨立、客觀的視角。
缺點： 長期的每小時成本較高，對業務的特定營運細節較不熟悉，並可能失去內部組織經驗的累積。

3. 共同外判 (Co-sourcing)

這是一種混合模式。機構保留一個內部核心團隊負責常規審計和管理層溝通，但針對複雜、高度技術性的任務（例如深入的網絡安全滲透測試或複雜的法證舞弊調查）聘請外部專家。
現實案例： 一家中型銀行可能會由自己的內部審計師進行日常分行和分行貸款的合規檢查，但與專業 IT 法證公司進行共同外判，以審計演算法交易系統和雲端安全。

快速回顧：資源配置決策
- 內部建立： 最有利於獲取組織知識和保持持續存在。
- 外判： 最有利於獲取專業能力和清晰的獨立視角。
- 共同外判： 兼具外部專業支援的靈活性與內部團隊的連續性。

4. 影響內部審計計劃的因素

內部審計師無法每年審計所有事項。他們必須採用基於風險的內部審計方法 (Risk-Based Internal Audit Approach)，將資源優先配置於風險敞口最高的地方。

審計計劃通常由以下因素決定：
- 風險評估 (Risk Assessment)： 優先考慮企業風險登記冊上具有高固有風險和剩餘風險的業務部門、項目或流程。
- 重大性 (Materiality)： 重點關注涉及巨額財務價值、關鍵交易量或具戰略重要性的領域。
- 變更與複雜性 (Change and Complexity)： 最近經歷變更的領域——例如實施新的企業軟件、企業重組或新收購的附屬公司——值得及時審查。
- 管理層關注與過往發現 (Management Concerns and Past Findings)： 處理先前出現合規失誤的領域或審計委員會提出的具體要求。

5. 總結與鼓勵

你已經順利完成了內部審計形式的學習！以下是你在 CIMA P3 考試中需要記住的重點：

- 合規審計： 核實是否符合外部法律、法規以及內部公司政策。
- 舞弊調查： 查明舞弊機制、評估損失、保存證據並提出改進控制的建議。
- 物有所值 (VFM) / 管理審計： 根據 3E（經濟性、效率和效果）評估營運績效。
- 社會與環境審計： 衡量機構的環境可持續性、社區影響和道德標準。
- 資源配置模式： 根據成本、獨立性和專業技能要求，內部審計可以由內部建立、完全外判或共同外判。

考試提示： 當 CIMA 出現情境題時，問問自己：「這項具體任務旨在評估什麼？」是規則遵守（合規）、涉嫌不當行為（舞弊調查）、資源優化（物有所值 / 管理），還是可持續發展影響（社會與環境）？確定主要目標將直接引導你找到正確的審計形式。

繼續努力——內部審計與風險緩解是你 P3 考試合格的關鍵支柱！